Envenenamiento LLMNR.

Tecnica adversario en medio (MITRE T1557.001) que abusa del protocolo Link-Local Multicast Name Resolution en UDP/5355 para redirigir a las victimas a hosts controlados por el atacante. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.

Tecnica adversario en medio (MITRE T1557.001) que abusa del protocolo Link-Local Multicast Name Resolution en UDP/5355 para redirigir a las victimas a hosts controlados por el atacante.

LLMNR (RFC 4795) es un protocolo de resolucion de nombres de respaldo de Windows que se usa cuando DNS falla. Los clientes envian una consulta multicast por UDP/5355 con el nombre no resuelto y cualquier host del enlace local puede responder. Un atacante en el mismo dominio de difusion responde con su propia IP y luego provoca que el cliente SMB o HTTP de la victima se autentique, capturando el challenge-response NTLMv2 para cracking offline o NTLM relay. El envenenamiento LLMNR es uno de los ataques internos mas fiables porque Windows lo sigue usando ante errores tipograficos, recursos mal configurados e impresoras obsoletas. La mitigacion es directa: desactivar LLMNR via GPO (Turn off Multicast Name Resolution) y depender solo de DNS. Las senales de deteccion incluyen trafico UDP/5355 anomalo y eventos 4624 desde hosts no autorizados.

Las defensas contra Envenenamiento LLMNR combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Spoofing LLMNR, T1557.001.